1(17)
H&M Hennes & Mauritz GBC AB
Mäster Samuelsgatan 46A
10638 Stockholm
Diarienummer:
DI-2020-10545 Beslut efter tillsyn enligt
dataskyddsförordningen - H&M
Datum:
2023-10-17
Hennes & Mauritz GBC AB
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att H&M Hennes & Mauritz GBC AB
(556070-1715) har behandlat personuppgifter i strid med artiklarna 12.3 och 21.3 i
dataskyddsförordningen1 genom att
• avseende klagomål 1: inte utan onödigt dröjsmål upphöra med behandling av
klagandens personuppgifter för direktmarknadsföringsändamål efter att
klaganden invänt mot sådan behandling den 5 april 2019,
• avseende klagomål 2: inte utan onödigt dröjsmål upphöra med behandling av
klagandens personuppgifter för direktmarknadsföringsändamål efter att
klaganden invänt mot sådan behandling den 4 juli 2019,
• avseende klagomål 3: inte utan onödigt dröjsmål upphöra med behandling av
klagandens personuppgifter för direktmarknadsföringsändamål efter att
klaganden invänt mot sådan behandling den 3 september 2019,
• avseende klagomål 4: inte utan onödigt dröjsmål upphöra med behandling av
klagandens personuppgifter för direktmarknadsföringsändamål efter att
klaganden invänt mot sådan behandling den 31 juli 2018,
• avseende klagomål 5: inte utan onödigt dröjsmål upphöra med behandling av
klagandens personuppgifter för direktmarknadsföringsändamål efter att
klaganden invänt mot sådan behandling i juli 2018,
• avseende klagomål 6: inte utan onödigt dröjsmål upphöra med behandling av
klagandens personuppgifter för direktmarknadsföringsändamål efter att
klaganden invänt mot sådan behandling den 8 augusti 2019.
Postadress:
Box 8114
104 20 Stockholm Integritetsskyddsmyndigheten konstaterar att H&M Hennes & Mauritz GBC AB har
Webbplats: behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen genom att
www.imy.se
E-post:
[email protected] 1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med
Telefon: avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av
08-657 61 00 direktiv 95/46/EG (allmän dataskyddsförordning).
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 2(17)
Datum: 2023-10-17
• avseende klagomål 1: under perioden 7 april 2019 till 2 augusti 2019
behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan
rättslig grund,
• avseende klagomål 2: under perioden 6 juli 2019 till 3 oktober 2019 behandlat
klagandens personuppgifter för direktmarknadsföringsändamål utan rättslig
grund,
• avseende klagomål 3: under perioden 5 september 2019 till 5 februari 2020
behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan
en rättslig grund,
• avseende klagomål 4: under perioden 2 augusti 2018 till 16 februari 2020
behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan
rättslig grund,
• avseende klagomål 5: under perioden augusti 2018 till 20 maj 2019 behandlat
klagandens personuppgifter för direktmarknadsföringsändamål utan rättslig
grund,
• avseende klagomål 6: under perioden 10 augusti 2019 till 15 september 2019
behandlat klagandens personuppgifter för direktmarknadsföringsändamål utan
rättslig grund.
Integritetsskyddsmyndigheten konstaterar att H&M Hennes & Mauritz GBC AB,
avseende klagomål 1 till 6, har behandlat personuppgifter i strid med artikel 12.2 i
dataskyddsförordningen genom att inte säkerställa system och rutiner som i tillräcklig
utsträckning underlättat för de klagande att utöva sin rätt till invändning mot
direktmarknadsföring.
Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i
dataskyddsförordningen att H&M Hennes & Mauritz GBC AB ska betala en
administrativ sanktionsavgift på 350 000 (trehundrafemtiotusen) kronor för de
konstaterade överträdelserna.
Redogörelse för tillsynsärendet
Handläggning
Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot H&M Hennes & Mauritz GBC
AB (H&M eller bolaget) med anledning av sex klagomål. IMY:s granskning avser
hanteringen av klagandenas invändningar mot direktmarknadsföring och den
efterföljande personuppgiftsbehandlingen. Klagomålen har lämnats över till IMY, i
egenskap av ansvarig tillsynsmyndighet enligt artikel 56 i dataskyddsförordningen.
Överlämnandet har skett från tillsynsmyndigheterna i de länder (Polen, Italien och
Storbritannien) där klagandena har lämnat in sina klagomål i enlighet med
förordningens bestämmelser om samarbete vid gränsöverskridande behandling.
Handläggningen av tillsynsärendet har skett genom skriftväxling. Mot bakgrund av att
det gäller gränsöverskridande behandling har IMY använt sig av de mekanismer för
samarbete och enhetlighet som finns i kapitel VII i dataskyddsförordningen. Berörda
tillsynsmyndigheter har varit dataskyddsmyndigheterna i Tyskland, Slovenien,
Frankrike, Danmark. Spanien, Norge, Italien, Finland, Polen, Belgien, Portugal,
Cypern, Estland och Nederländerna.
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 3(17)
Datum: 2023-10-17
Eftersom klagomål 4 och 5 överlämnats från Storbritannien, som under
handläggningen av tillsynsärendet lämnat unionssamarbetet, har IMY varit i kontakt
med Storbritanniens tillsynsmyndighet (ICO) för att säkerhetsställa att en ne bis in
idem situation undviks. ICO har ingen information om att de vidtagit några
korrigerande åtgärder avseende klagomålen. Det noteras att ICO:s lagringstid för
klagomål är två år och att de därför inte har sparat någon information om klagomålen.
IMY noterar vidare att tillsynsobjektet vid kommunicering med IMY inte påtalat att
några sådana åtgärder ska ha vidtagits av ICO. Det framgår av artikel 3 i
dataskyddsförordningen att bestämmelserna i förordningen gäller för all
personuppgiftsbehandling som sker inom ramen för den verksamhet som bedrivs av
den personuppgiftsansvariges verksamhetsställe inom union, oavsett om
behandlingen utförts inom union eller inte. IMY bedömer således att det inte föreligger
något hinder för att klagomål 4 och 5 inkluderas i IMY:s granskning.
Allmänt om vad klagandena och H&M har uppgett
Enligt klagomålen har klagandena mottagit oönskade nyhetsbrev från bolaget trots att
de har invänt mot att få sina personuppgifter behandlade för
direktmarknadsföringsändamål.
Bolaget har uppgett att det är personuppgiftsansvarig för den
personuppgiftsbehandling som tillsynen omfattar.
Bolaget erbjuder sina kunder tre olika tillvägagångsätt för att motsätta sig
marknadsföring via nyhetsbrev. Kunderna kan ändra sin prenumerationsstatus under
sina kontoinställningar, avregistrera sig från prenumerationer via en länk som finns i
varje utskick av nyhetsbrev eller kontakta bolagets kundtjänst. Bolaget hanterar ett
mycket stort antal prenumeranter årligen och det är endast i en mycket liten del av
avregistreringsärenden det uppstår någon form av problem.
Bolaget bekräftar att det har mottagit klagandenas invändningar i samtliga klagomål.
Bolaget har dock inte kvar någon dokumenterad korrespondens med klagandena då
lagringstiden för kommunikation med kundtjänst har passerat. Bolaget avser att se
över sin lagringstid vid kommunikation med kundtjänst för ändamålet att kunna visa
vilka åtgärder som vidtagits för att tillmötesgå registrerades rättigheter.
Nedan följer en redogörelse över vad klagandena och bolaget har anfört i förhållande
till respektive klagomål.
Klagomål 1 (från Polen med nationellt referensnummer: ZSPR.440.1340.2019)
I klagomålet görs gällande att klaganden framställde sin invändning mot att få
direktmarknadsföring genom att fylla i bolagets formulär via kontoinställningar, samt
genom att kontakta kundtjänst vid upprepade tillfällen, utan framgång. Klaganden har
kontaktat såväl den polska ([email protected]) som den brittiska
([email protected]) kundtjänsten. Enligt den till klagomålet bifogade e-
postkorrespondensen informerade bolaget klaganden den 8 april 2019 att hen inte
skulle motta några fler nyhetsbrev. Klaganden har inkommit med underlag på att
bolaget skickat nyhetsbrev fram till och med den 1 augusti 2019.
Bolaget har i sitt svar anfört att det avslutade klagandens prenumeration från bolagets
allmänna nyhetsbrev den 5 april 2019 men av misstag (och i strid med bolagets
interna instruktioner) avregistrerades klaganden endast från det allmänna
nyhetsbrevet och inte från det nyhetsbrev som är kopplat till kundklubben. Den 2
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 4(17)
Datum: 2023-10-17
augusti 2019 avslutades även nyhetsbrev kopplade till kundklubben och klaganden har
därefter inte fått någon marknadsföring. Bolaget har medgett att det inte hanterat
begäran i enlighet med sina rutiner men uppgett att misstaget inte kan inträffa igen
eftersom det inte längre är tekniskt möjligt för kundtjänst att avregistrera en kund från
endast en typ av nyhetsbrev.
Klagomål 2 (från Italien med nationellt referensnummer: 142785)
I klagomålet görs gällande att klaganden framställde sin invändning mot att få
direktmarknadsföring genom att använda avprenumerationslänken i utskicket av
nyhetsbrevet, samt genom att kontakta kundtjänst vid tre tillfällen utan framgång. I
e-post till bolaget den 4 juli 2019 uppger klaganden att hen försökt använda
avprenumerationslänken ett tiotal gånger. Klaganden har varit i kontakt med den
italienska kundtjänsten via [email protected]. Bolaget informerade klaganden
den 4 juli 2019 att kundtjänst hade skickat ärendet vidare till behörig avdelning och att
det kunde ta lite tid innan klagandens begäran helt tillgodosetts. Klaganden har
därefter fortsatt ta emot nyhetsbrev fram till och med den 3 oktober 2019.
Bolaget har i sitt svar anfört att det avslutade klagandens prenumeration från bolagets
allmänna nyhetsbrev den 4 juli 2019. Av misstag (och i strid med bolagets interna
instruktioner) avregistrerades klaganden endast från det allmänna nyhetsbrevet och
inte från det nyhetsbrev som är kopplat till kundklubben. Den 2 oktober 2019
avslutades även nyhetsbrev kopplade till kundklubben och klaganden har efter den 3
oktober 2019 inte fått någon marknadsföring. Bolaget har medgett att det inte har
hanterat begäran i enlighet med sina rutiner men att misstaget inte kan inträffa igen
eftersom det inte längre är tekniskt möjligt för kundtjänst att avregistrera en kund från
endast en typ av nyhetsbrev.
Klagomål 3 (från Italien med nationellt referensnummer: 146896)
Av bifogad e-postkorrespondens till klagomålet framgår att klaganden kontaktade
bolaget den 3 september 2019 för att invända mot direktmarknadsföring. Samma dag
mottog klaganden e-post från bolaget med information om att avprenumerationen
utförts. Den 7 september 2019 kontaktade klaganden bolaget på nytt via e-post och
påtalade att hen fortfarande fick oönskad e-post. Klaganden fick svar från bolaget
samma dag med instruktioner om att ändra inställningar under ”mina sidor” samt att
använda avprenumerationslänken längst ned i bolagets marknadsföringsutskick.
Klaganden svarade att hen redan vidtagit de föreslagna åtgärderna ett tiotal gånger.
Klaganden har varit i kontakt med den italienska kundtjänsten via
[email protected].
Bolaget har i sitt svar anfört att det avslutade klagandens prenumeration från bolagets
allmänna nyhetsbrev den 3 september 2019. Av misstag (och i strid med bolagets
interna instruktioner) avregistrerades klaganden endast från det allmänna
nyhetsbrevet och inte från det nyhetsbrev som är kopplat till kundklubben. Den 5
februari 2020 avslutades även nyhetsbrev kopplade till kundklubben och klaganden
har därefter inte fått någon marknadsföring. Bolaget har medgett att det inte hanterat
begäran i enlighet med sina rutiner men uppgett att misstaget inte kan inträffa igen
eftersom det inte längre är tekniskt möjligt för kundtjänst att avregistrera en kund från
endast en typ av nyhetsbrev.
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 5(17)
Datum: 2023-10-17
Klagomål 4 (från Storbritannien med nationellt diarienummer: RFA0782737)
I klagomålet görs gällande att klaganden framställde sin invändning mot att få
direktmarknadsföring genom att upprepade gånger använda avprenumerationslänken i
utskicket av nyhetsbrevet, genom att ringa till kundtjänst samt genom att kontakta
bolaget via e-post vid åtminstone två tillfällen. Klaganden har varit i kontakt med
kundtjänsten via e-postadressen [email protected]. Till klagomålet har
klaganden bifogat e-postkorrespondens med bolaget samt ett meddelande från
bolaget den 26 juli 2018 om att ett avprenumerationsförsök misslyckats. Klaganden
uppgav i sitt ursprungliga klagomål till den brittiska tillsynsmyndigheten att hen
kontaktade H&M den 31 juli 2018. Klagandens har bifogat ett e-postmeddelande från
Arkets kundtjänst från den 31 juli 2018 som innehåller instruktioner om vilka ytterligare
åtgärder klaganden kan vidta för att invända mot direktmarknadsföring. Klaganden har
även bifogat e-postkorrespondens från den 14, 15, 17 och 18 augusti 2018. Bolaget
informerade klaganden den 18 augusti 2018 att kundtjänst skickat ärendet vidare till
behörig avdelning och att det kunde ta 3-4 arbetsdagar innan klagandens begäran helt
tillgodosetts. Klaganden har därefter fortsatt ta emot nyhetsbrev, bland annat den 2
september 2018 enligt en till klagomålet bifogad kopia på marknadsföringsutskick.
Bolaget har i sitt svar uppgett att det har begränsad information om ärendet. Av
bolagets kundsystem framgår att klaganden tog emot nyhetsbrev fram till och med den
16 februari 2020. Bolaget har därefter inte skickat några nyhetsbrev till klaganden.
Klagomål 5 (från Storbritannien med nationellt diarienummer: RFA0768679)
I klagomålet görs gällande att klaganden framställde sin invändning mot att få
direktmarknadsföring genom att använda avprenumerationslänken fem gånger utan
framgång. Av klagomålet framgår inte ett exakt datum för när klaganden invände. Den
klagande vände sig dock till den brittiska dataskyddsmyndigheten med ett klagomål
och uppgav då att hen försökt avprenumerera från bolagets nyhetsbrev fem gånger
under den förevarande fyraveckorsperioden. Klaganden bifogade också bolagets
senaste marknadsföringsutskick som är daterat den 18 juli 2018.
Bolaget har i sitt svar uppgett att den brittiska dataskyddsmyndigheten (ICO)2
kontaktade bolaget angående detta ärende den 20 maj 2019. Samma dag
avregistrerade bolaget klaganden från nyhetsbrevet. Klaganden har därefter inte
mottagit några nyhetsbrev. Den 29 maj 2019 informerade ICO bolaget att klaganden
erhållit information om att hens begäran är hanterad. Bolaget uppger slutligen att
klagomålet tyder på att bolaget svarat klaganden vid flera tillfällen.
Klagomål 6 (från Polen med nationellt diarienummer: ZSPR.440.1662.2019)
I klagomålet görs gällande att klaganden framställde sin invändning mot att få
direktmarknadsföring genom att många gånger använda avprenumerationslänken i
utskicket av nyhetsbrevet, samt genom att minst två gånger kontakta bolaget via e-
post och genom att fylla i bolagets formulär via kontoinställningar, utan framgång.
Klaganden har kontaktat den polska kundtjänsten via [email protected].
Bolaget informerade klaganden den 8 augusti 2019 att hen blivit avregistrerad från
nyhetsbrev men att det kan ta upp till 30 dagar innan klagandens begäran
2 Information Comissioner’s Office
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 6(17)
Datum: 2023-10-17
tillgodosetts. Klaganden har till klagomålet bifogat ett utdrag av ett nyhetsbrev som
skickades till klagandens e-postadress den 15 september 2019.
Bolaget har i sitt svar uppgett att det saknar information om ärendet eftersom
klaganden begärt att få samtliga personuppgifter raderade.
Vad H&M har uppgett om vidtagna åtgärder
Bolaget hanterar ett mycket stort antal prenumeranter årligen. Bolagets bedömning är
att det endast i en liten del av de ärenden där en prenumerant ber om att avregistreras
från vidare utskick uppstår någon form av problem.
I oktober 2019 tillsatte bolaget en särskild arbetsgrupp bestående av personer från
olika verksamhetsområden och kompetenser, t.ex. inom IT-utveckling, dataskydd och
marknadsföring. Syftet var att lägga ytterligare resurser och mer fokus på att effektivt
kunna lösa situationer där ett fåtal avprenumerationer stött på hinder.
Under det kontinuerliga förvaltnings- och förbättringsarbete som bedrivs i dessa frågor
har bolaget identifierat flera orsaker som åtgärdats genom:
• buggfixar kopplade till kundtjänstens manuella förändringar av en kunds
prenumerationsstatus,
• buggfixar kopplade till prenumerationsstatus hos en medlem/kontohavares
kontoinställningar samt
• justering av rutiner, arbetssätt och ytterligare utbildning av kundtjänstpersonal.
Bolaget uppger vidare att det är flera system som är involverade i utskicken av
nyhetsbrev. För att ytterligare minska risken för konsekvenser av buggar i de tekniska
systemen implementerade bolaget i maj 2020 en manuell rutin för att säkerställa att
uppdateringen sker i samtliga system. Detta gjorde det möjligt att proaktivt korrigera
prenumerationsstatusen i kommunicerande system och undvika felaktiga utskick av
nyhetsbrev. Denna manuella rutin automatiserades i juli 2020.
Den 8 december 2020 implementerade bolaget en teknisk lösning som säkerställer att
samtliga involverade system får uppdaterad information i samband med att en kund
avprenumererar sig oavsett tidigare status.
Bolaget har också infört funktioner för systematisk flaggning när en prenumerant
klickar på en avprenumerationslänk mer än en gång. Detta möjliggör att åtgärder kan
vidtas för att utreda om det föreligger några problem med avprenumerationen.
Tidigare när en kund klickade på avprenumerations-länken sändes det en signal till ett
av bolagens system som i sin tur kommunicerade med omkringliggande system.
Sedan december 2020 sänds signalen direkt till det system som skickar ut
nyhetsbreven. Enligt bolaget minskar det risken för att avprenumerationer inte går
igenom.
Bolaget arbetar också med att implementera ett monitoreringssystem som ska kunna
flagga om det uppstår några systematiska problem i samband med ett
avprenumerationsärende.
Bolaget avser också att genomföra en översyn av prenumeranterna i bolagets
kundklubb i syfte att säkerställa att samtliga prenumerationsstatusar är korrekta.
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 7(17)
Datum: 2023-10-17
Motivering av beslutet
Tillämpliga bestämmelser
Enligt artikel 6 i dataskyddsförordningen krävs att den som behandlar personuppgifter
har en rättslig grund för behandlingen, dvs. att åtminstone ett av villkoren i artikel 6.1
är uppfyllt.
Artikel 21 i dataskyddsförordningen föreskriver en rätt för den registrerade att göra
invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e eller
6.1 f i dataskyddsförordningen. Enligt artikel 21.2 ska den registrerade ha rätt att när
som helst invända mot behandling av personuppgifter för
direktmarknadsföringsändamål avseende honom eller henne. Av artikel 21.3 följer att
om den registrerade invänder mot sådan behandling ska personuppgifterna inte längre
behandlas för direktmarknadsföringsändamål.
Enligt artikel 12.3 i dataskyddsförordningen ska den personuppgiftsansvarige
tillhandahålla den registrerade information om de åtgärder som vidtagits med
anledning av en begäran enligt artikel 21 i dataskyddsförordningen utan onödigt
dröjsmål och under alla omständigheter senast en månad efter att begäran mottagits.
Tidsfristen om en månad får förlängas med ytterligare två månader om begäran är
särskilt komplicerad eller antalet inkomna begäranden är högt.
Om tidsfristen om en månad förlängs, ska den personuppgiftsansvarige underrätta den
registrerade om förlängningen. Underrättandet av förlängningen av tidsfristen ska ske
inom en månad från det att begäran mottogs. Den personuppgiftsansvarige ska också
ange orsakerna till förseningen.
Av artikel 12.2 i dataskyddsförordningen framgår att den personuppgiftsansvarige ska
underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22.
Enligt skäl 59 till dataskyddsförordningen bör förfaranden fastställas som gör det
lättare för registrerade att utöva sina rättigheter enligt denna förordning, inklusive
mekanismer för att begära och i förekommande fall kostnadsfritt få tillgång till och
erhålla rättelse eller radering av personuppgifter samt för att utöva rätten att göra
invändningar. Den personuppgiftsansvarige bör också tillhandahålla hjälpmedel för
elektroniskt ingivna framställningar, särskilt i fall då personuppgifter behandlas
elektroniskt.
Integritetsskyddsmyndighetens bedömning
Har det skett en överträdelse av artikel 12.2 i dataskyddsförordningen?
IMY har att ta ställning till om H&M avseende de sex klagomålen i tillräcklig
utsträckning underlättat för klagandena att utöva sin rätt till invändning i enlighet med
dataskyddsförordningen. IMY utreder följaktligen inte bolagets nya rutiner som avser
tiden efter att klagandenas begäranden redan hanterats av bolaget.
Enligt IMY följer det av artikel 12.2 och skäl 59 i dataskyddsförordningen att bolaget i
detta fall haft en skyldighet att ha interna rutiner som gör att de registrerade kan utöva
sina rättigheter på ett enkelt och ändamålsenligt sätt. Den skyldigheten förutsätter att
den personuppgiftsansvarige regelbundet kontrollerar och säkerställer att de rutiner
och system som används möjliggör för registrerade att enkelt kunna utöva sina
rättigheter.
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 8(17)
Datum: 2023-10-17
Bolaget har i sina yttranden till IMY redogjort för att det i systemet och i samband med
hanteringen av klagandenas invändningar mot direktmarknadsföring varit möjligt att
avprenumerera en registrerad från olika nyhetsbrev. Avseende klagomål 1-3 har
bolaget kunnat konstatera att klagandena har avprenumererats från det allmänna
nyhetsbrevet men däremot inte från det nyhetsbrev som varit kopplat till kundklubben.
Avseende klagomål 4-6 saknar bolaget tillräcklig information. Bolaget har uppgett att
det inte längre är möjligt för kundtjänst att endast avprenumerera på allmänna
nyhetsbrev och att en motsvarade situation numera inte kan inträffa.
Vidare kan konstateras att klagandena i klagomål 2-6 uppgett att de ett flertal, i vissa
fall upp till ett tiotal, gånger använt avprenumerationslänken som följer med
nyhetsbrevet utan att nyhetsbreven upphört att komma. Det har rört sig om fem
klagande, från tre olika länder, som vid upprepade tillfällen och utspritt i tid, använt sig
av avprenumerationslänken utan att den fungerat. Bolaget har redogjort för ett flertal
generella och omfattande tekniska åtgärder som vidtagits i syfte att minska risken för
att avprenumerationer inte går igenom.
Klagandena i klagomål 1, 2, 3, 4 och 6 har, efter att ha konstaterat att länken för
avprenumeration inte fungerat, kontaktat bolaget på olika sätt, bland annat med hjälp
av formulär via kontoinställningar, via e-post samt genom kontaktformulär. Klagandena
har vid olika tillfällen sammantaget under cirka ett års tid även kontaktat kundtjänsten i
Italien, Polen och Storbritannien samt kundtjänsten för varumärket Arket utan att
kundtjänsten på ett korrekt sätt kunnat uppfatta och hantera deras begäranden.
Mot bakgrund av att bolaget redan i juni 2018 uppmärksammats på brister avseende
bland annat avprenumerationsfunktionen bedömer IMY att bolaget dröjt alltför länge
(till oktober 2019) med att åtgärda de brister som förelegat.
Vid en bedömning av de omständigheter som anges ovan finner IMY att det med
avseende på de sex klagomålen förelegat brister i den interna processen för hantering
av invändningar enligt artikel 21.2 i dataskyddsförordningen som fått till följd att
klagandena inte på ett enkelt sätt kunnat ta tillvara och utöva sina rättigheter enligt
förordningen. Bolaget har därmed överträtt artikel 12.2 i dataskyddsförordningen.
Rätt att göra invändningar – har det skett en överträdelse av artiklarna 21.3, 12.3
och 6.1. dataskyddsförordningen?
Allmänna utgångspunkter
Om en registrerad invänder mot direktmarknadsföring enligt artikel 21.2 i
dataskyddsförordningen ska, enligt artikel 21.3, personuppgifter inte längre behandlas
för sådana ändamål. I enlighet med artikel 12.3 i dataskyddsförordningen ska den
personuppgiftsansvarige, utan onödigt dröjsmål och senast inom en månad efter att
begäran mottagits, vidta åtgärder med anledning av begäran samt lämna information
om de vidtagna åtgärderna. En begäran om invändning mot direktmarknadsföring
enligt artikel 21.3 som inte tillgodoses utan onödigt dröjsmål utgör därför en
överträdelse av både artikel 21.3 och 12.3.
Efter en invändning är fortsatt behandling av den registrerades personuppgifter inte
längre tillåten för direktmarknadsföringsändamål. IMY konstaterar att det mot bakgrund
av detta förbud inte heller kan föreligga någon rättslig grund enligt artikel 6.1 i
dataskyddsförordningen för sådan behandling. Fortsatt behandling för
marknadsföringsändamål, efter det att en invändning enligt artikel 21.3 tagits emot och
bort hanterats av den personuppgiftsansvarige, utgör därmed även en överträdelse av
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 9(17)
Datum: 2023-10-17
artikel 6.1. För att avgöra när bolaget inte längre haft en rättslig grund för
behandlingen måste det bedömas när en invändning senast borde ha hanterats.
Eftersom rätten att invända mot direktmarknadsföring enligt artikel 21.2 i
dataskyddsförordningen är ovillkorlig finns det inget utrymme för individuell prövning
av om en sådan invändning ska godtas. Hanteringen av invändningar mot
direktmarknadsföring bör därför vara en rutinåtgärd för den personuppgiftsansvarige
och ske skyndsamt.
I dataskyddsförordningen betonas vikten av att på ett korrekt sätt utvärdera och
minska eventuella risker för enskildas rättigheter och friheter till följd av en behandling
av personuppgifter. Ett exempel på en risk för enskilda är att marknadsföring kan ha till
syfte att påverka registrerades val och köpvanor och det är därför av vikt att H&M som
en stor aktör, har fungerande rutiner och processer på plats för att hantera
registrerades begäranden om invändning skyndsamt.
H&M har ett automatiserat system som har till syfte att på ett enkelt sätt fånga upp en
registrerads viljeyttring att invända mot direktmarknadsföring och också på ett enkelt
och snabbt sätt kunna avbryta utskick för direktmarknadsföringsändamål. Samtliga
klagandenas viljeyttringar att invända mot direktmarknadsföring har trots detta behövt
framföras upprepade gånger. I klagomål 1, 2, 3, 4 och 6 har klagandenas invändningar
dessutom behövt framföras genom olika kontaktvägar hos bolaget, antingen genom att
använda H&M:s avprenumerationslänk eller genom att kontakta bolaget på olika sätt
eller en kombination av dessa.
Det är särskilt angeläget från bolagets sida att agera snabbt vid indikationer på att
klagandena inte kunnat utöva sin rätt till invändning eftersom att det skulle kunna
innebära, och i de sex enskilda fallen har inneburit, att klaganden trots tidigare
invändningar, tagit emot marknadsföringsutskick mot sin vilja.
Med beaktande av vad som ovan anförts bedömer IMY att den tid inom vilken bolaget
borde ha agerat i dessa sex enskilda fall var mycket kort. Hur lång denna tid bör vara
måste bedömas med hänsyn till omständigheterna i det enskilda fallet och kan variera
exempelvis beroende på om avregistreringen sker automatiskt eller manuellt. Mot
bakgrund av omständigheterna i det här ärendet bedömer IMY att två dagar var en
rimlig tid för bolaget att hantera begäran om invändning i de sex aktuella fallen.
Utgångspunkt i respektive klagomål
Klagomål 1 (från Polen med nationellt referensnummer: ZSPR.440.1340.2019)
Klaganden anger inte exakt vilket datum hen första gången invände mot
direktmarknadsföring till bolaget genom att fylla i bolagets formulär via
kontoinställningar. Klaganden har dock bifogat e-postkorrespondens med bolaget av
vilken framgår att bolaget informerade klaganden den 8 april 2019 att hen inte skulle
motta några fler nyhetsbrev.
Bolaget kan inte bekräfta datumet för klagandens invändning då kundtjänstens
korrespondens med klaganden gallrats.
Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först
invände mot direktmarknadsföring. Utredningen visar dock att klaganden i vart fall
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 10(17)
Datum: 2023-10-17
invänt mot direktmarknadsföring den 5 april 2019 eftersom bolaget i sitt svar anfört att
det avlutade klagandens prenumeration från bolagets allmänna nyhetsbrev den dagen.
Efter att klaganden invänt mot behandling av sina personuppgifter för
direktmarknadsföringsändamål i vart fall den 5 april 2019 har bolaget fortsatt skicka
nyhetsbrev till klaganden till och med den 2 augusti 2019.
I det aktuella fallet har utskicken av direktmarknadsföring därmed fortsatt i ytterligare
närmare fyra månader efter klagandens invändning. IMY finner att bolaget borde ha
hanterat klagandens begäran om invändning inom i vart fall två dagar. Bolaget har
därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i
strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.
Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för
den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som
skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 7 april 2019
fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med
artikel 6.1 dataskyddsförordningen.
Klagomål 2 (från Italien med nationellt referensnummer: 142785)
Klaganden anger inte exakt vilket datum hen första gången invände mot
direktmarknadsföring till bolaget genom att använda avprenumerationslänken.
Klaganden har dock bifogat e-postkorrespondens med bolaget från den 4 juli 2019
som visar att hen redan då hade försökt att använda avprenumerationslänken ett tiotal
gånger.
Bolaget kan inte bekräfta datumet för klagandens invändning då kundtjänstens
korrespondens med klaganden gallrats.
Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först
invände mot direktmarknadsföring. Utredningen visar dock att klaganden i vart fall
invänt mot direktmarknadsföring den 4 juli 2019 eftersom bolaget i sitt svar anfört att
det avslutat klagandens prenumeration från bolagets allmänna nyhetsbrev den dagen.
Efter att klaganden invänt mot behandling av sina personuppgifter för
direktmarknadsföringsändamål i var fall den 4 juli 2019 har bolaget fortsatt skicka
nyhetsbrev till klaganden till och med den 3 oktober 2019.
I det aktuella fallet har utskicken av direktmarknadsföring således fortsatt i ytterligare
närmare tre månader efter klagandens invändning. IMY finner att bolaget borde ha
hanterat klagandens begäran om invändning i vart fall inom två dagar. Bolaget har
därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i
strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.
Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för
den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som
skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 6 juli 2019
fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med
artikel 6.1 dataskyddsförordningen.
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 11(17)
Datum: 2023-10-17
Klagomål 3 (från Italien med nationellt referensnummer: 146896)
Klaganden anger inte exakt vilket datum hen första gången invände mot
direktmarknadsföring till bolaget genom att använda avprenumerationslänken.
Klaganden har dock bifogat e-postkorrespondens med bolaget från den 3 september
2019 med en begäran om att invända mot direktmarknadsföring. Klaganden har också
i efterföljande korrespondens anfört att hen redan använt avprenumerationslänken ett
tiotal gånger.
Bolaget kan inte bekräfta datumet för klagandens invändning då kundtjänstens
korrespondens med klaganden gallrats.
Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först
invände mot direktmarknadsföring. Utredningen visar dock att klaganden i vart fall
invänt mot direktmarknadsföring den 3 september 2019 då klaganden kontaktade
bolaget via e-post.
Efter att klaganden invänt mot behandling av dennes personuppgifter för
direktmarknadsföringsändamål i vart fall den 3 september 2019 har bolaget fortsatt
skicka nyhetsbrev till klaganden till och med den 5 februari 2020.
I det aktuella fallet har utskicken av direktmarknadsföring följaktligen fortsatt i
ytterligare fem månader efter klagandens invändning. IMY finner att bolaget borde ha
hanterat klagandens begäran om invändning i vart fall inom två dagar. Bolaget har
därför inte hanterat klagandens invändning utan onödigt dröjsmål och således agerat i
strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.
Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för
den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som
skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 5 september
2019 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med
artikel 6.1 dataskyddsförordningen.
Klagomål 4 (från Storbritannien med nationellt diarienummer: RFA0782737)
Klaganden anger inte exakt vilket datum hen första gången invände mot
direktmarknadsföring till bolaget genom att använda avprenumerationslänken.
Klaganden har dock bifogat en kopia på ett meddelande till bolaget om att ett
avprenumerationsförsök misslyckats den 26 juli 2019 samt e-postkorrespondens med
bolaget från den 31 juli 2019 av vilken framgår att bolaget ger ytterligare instruktioner
för vad som kan göras när avprenumerationslänken inte fungerar.
Bolaget kan inte bekräfta datumet för klagandens invändning då kundtjänstens
korrespondens med klaganden gallrats.
Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först
invände mot direktmarknadsföring. Utredningen visar dock att klaganden i vart fall
invänt mot direktmarknadsföring den 31 juli 2018 då bolaget gett klaganden ytterligare
instruktioner avseende avprenumerationen.
Efter att klaganden invänt mot behandling av dennes personuppgifter för
direktmarknadsföringsändamål i vart fall den 31 juli 2018 har bolaget fortsatt skicka
nyhetsbrev till klaganden till och med den 16 februari 2020.
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 12(17)
Datum: 2023-10-17
I det aktuella fallet har utskicken av direktmarknadsföring därmed fortsatt i ytterligare
18 månader efter klagandens invändning. IMY finner att bolaget borde ha hanterat
klagandens begäran om invändning i vart fall inom två dagar. Bolaget har därför inte
hanterat klagandens invändning utan onödigt dröjsmål och således agerat i strid med
artiklarna 12.3 och 21.3 i dataskyddsförordningen.
Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för
den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som
skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 2 augusti
2018 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med
artikel 6.1 dataskyddsförordningen.
Klagomål 5 (från Storbritannien med nationellt diarienummer: RFA0768679)
I sitt klagomål till ICO bifogade klaganden en kopia på det marknadsföringsutskick som
hen mottagit från H&M den 18 juli 2018 och den klagande uppger att det var det
senast mottagna utskicket. I klagomålet uppges också att den klagande under de fyra
förevarande veckorna, innan klagomålet lämnades in, försökt avprenumerera från
bolagets marknadsföringsutskick utan framgång. Det framgår inte av klagomålet när
klaganden första gången invände mot direktmarknadsföring.
Bolaget har uppgett att de tagit emot klagandens invändningar men kan inte bekräfta
datumet för när invändningarna gjordes. Bolaget noterar att klagomålet tyder på att
bolaget svarat klaganden vid ett flertal gånger.
IMY bedömer att utredningen inte visat annat än att den klagande i vart fall under juli
2018, när hen lämnade in ett klagomål till den brittiska dataskyddsmyndigheten, har
invänt mot bolagets direktmarknadsföring. Bedömningen görs särskilt mot bakgrund av
de brister avseende uppdelning av nyhetsbrev som förelåg vid tiden för klagomålet och
att klaganden anfört att hen försökt invända under en fyraveckorsperiod samt att
bolaget uppgett att de tagit emot klagandens invändning. Den 20 maj 2019
avprenumererades klaganden från bolagets nyhetsbrev.
I det aktuella fallet har utskicken av direktmarknadsföring således fortsatt i ytterligare 9
månader efter klagandens invändning. IMY finner att bolaget borde ha hanterat
klagandens begäran om invändning i vart fall inom två dagar. Bolaget har därför inte
hanterat klagandens invändning utan onödigt dröjsmål och således agerat i strid med
artiklarna 12.3 och 21.3 i dataskyddsförordningen.
Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för
den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som
skett därefter. IMY konstaterar mot denna bakgrund att bolaget från augusti 2018 fram
till att utskicken upphörde behandlat klagandens personuppgifter i strid med artikel 6.1
i dataskyddsförordningen.
Klagomål 6 (från Polen med nationellt diarienummer: ZSPR.440.1662.2019)
Klaganden anger inte exakt vilket datum hen första gången invände mot
direktmarknadsföring till bolaget genom att använda avprenumerationslänken.
Klaganden har dock bifogat e-postkorrespondens med bolaget från den 8 augusti
2019. Av korrespondensen framgår att klaganden erhåller nyhetsbrev trots att
klaganden använt avprenumerationslänken många gånger.
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 13(17)
Datum: 2023-10-17
Bolaget kan inte bekräfta datumet för klagandens invändning då kundtjänstens
korrespondens med klaganden gallrats.
Av utredningen är det inte möjligt att fastslå exakt datum för när klaganden först
invände mot direktmarknadsföring. Däremot visar underlaget att klaganden i vart fall
invänt mot direktmarknadsföring den 8 augusti 2019 då klaganden mejlat bolaget.
Bolaget har uppgett att det saknar information om det aktuella klagomålet. Den
klagande har dock till sitt klagomål bifogat en kopia på det utskick av
direktmarknadsföring som hen erhöll den 15 september 2019. E-postutskicket är
adresserat till den e-postadress som klaganden använder i såväl korrespondens med
bolaget som med den polska dataskyddsmyndigheten. Det har inte framkommit
omständigheter som föranleder IMY att ifrågasätta klagandens inlämnade underlag.
Den klagande invände mot direktmarknadsföring i vart fall den 8 augusti 2019 och
IMY:s bedömning är att bolaget har skickat nyhetsbrev till klaganden till och med den
15 september 2019. Bolaget har inte heller kunnat visa att de informerat klaganden om
förseningen eller att förseningen skulle vara berättigad.
I det aktuella fallet har utskicken av direktmarknadsföring följaktligen fortsatt i
ytterligare en månad och en vecka efter klagandens invändning. IMY finner att bolaget
borde ha hanterat klagandens begäran om invändning i vart fall inom två dagar.
Bolaget har därför inte hanterat klagandens invändning utan onödigt dröjsmål och
således agerat i strid med artiklarna 12.3 och 21.3 i dataskyddsförordningen.
Bolaget har vidare saknat rättslig grund enligt artikel 6 i dataskyddsförordningen för
den behandling av klagandens personuppgifter för direktmarknadsföringsändamål som
skett därefter. IMY konstaterar mot denna bakgrund att bolaget från den 10 augusti
2019 fram till att utskicken upphörde behandlat klagandens personuppgifter i strid med
artikel 6.1 dataskyddsförordningen.
Val av ingripande
Tillämpliga bestämmelser
Av artiklarna 58.2 i och 83.2 dataskyddsförordningen framgår att IMY har befogenhet
att påföra administrativa sanktionsavgifter i enlighet med artikel 83. Beroende på
omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras
utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel
förelägganden och förbud. Om det är fråga om en mindre överträdelse får IMY enligt
vad som anges i skäl 148 till dataskyddsförordningen i stället för att påföra en
sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till
försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär,
svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.
Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa
sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det
anges i artikel 83.1 i dataskyddsförordningen. I artikel 83.2 anges de faktorer som ska
beaktas för att bestämma om en administrativ sanktionsavgift ska påföras och vid
bedömningen av sanktionsavgiftens storlek.
Vid bedömningen av storleken på sanktionsavgiften ska bland annat hänsyn tas till
artikel 83.2 a (överträdelsens karaktär, svårighetsgrad och varaktighet), c (de åtgärder
som den personuppgiftsansvarige har vidtagit) och k (annan försvårande eller
förmildrande faktor till exempel direkt eller indirekt ekonomisk vinst).
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 14(17)
Datum: 2023-10-17
EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt
dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer
för beräkning av sanktionsavgifter.3
Enligt artikel 83.5 i dataskyddsförordningen kan vid överträdelser av artiklarna 6, 12
och 21 i dataskyddsförordningen administrativa sanktionsavgifter påföras på upp till
20 000 000 EUR eller, om det gäller företag, på upp till 4 procent av den totala globala
årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.
Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag
ska den definition av begreppet företag användas som EU-domstolen använder vid
tillämpning av artiklarna 101 och 102 i EUF-fördraget (se skäl 150 i dataskydds-
förordningen). Av domstolens praxis framgår att detta omfattar varje enhet som utövar
ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering
samt även om enheten i juridisk mening består av flera fysiska eller juridiska
personer.4
Sanktionsavgift
IMY har ovan bedömt att bolaget genom att fortsätta med
direktmarknadsföringsutskick efter att de klagande invänt mot att deras
personuppgifter behandlas för sådana ändamål har överträtt artiklarna 6.1, 12.2, 12.3
och 21.3 i dataskyddsförordningen.
Mot bakgrund av att bolaget, i sex från varandra skilda fall, brustit i att på ett korrekt
sätt hantera klagandens begäranden om invändning mot direktmarknadsföring samt
att bolaget därtill fortsatt att behandla klagandenas personuppgifter för
direktmarknadsföring i upp till 18 månader är det inte fråga om mindre överträdelser.
IMY finner därmed inte att en reprimand är tillräcklig. Bolaget ska därför påföras en
administrativ sanktionsavgift.
Samma eller sammankopplade uppgiftsbehandlingar
IMY har ovan konstaterat att bolaget avseende de sex klagomålen har agerat i strid
med flera olika artiklar i dataskyddsförordningen. Överträdelserna har dock inneburit
ett och samma agerande rörande respektive klagomål och utgör därmed endast en
överträdelse per klagomål. Överträdelserna gällande de sex klagomålen i detta ärende
är samtliga ett resultat av bolagets oförmåga att hantera klagandenas invändningar
mot direktmarknadsföring på ett korrekt sätt. Bolagets agerande med anledning av de
sex invändningarna som klagomålen rör, är därför att se som sex sammankopplade
personuppgiftsbehandlingar. IMY bedömer således att de aktuella överträdelserna
utgör sex stycken sammankopplade uppgiftsbehandlingar enligt artikel 83.3 i
dataskyddsförordningen.
Bestämmande av sanktionsavgift
IMY bedömer att det företags omsättning som ska läggas till grund för beräkning av de
administrativa sanktionsavgifter som bolaget kan åläggas är bolagets moderbolag
H&M Hennes & Mauritz AB (556042-7220). Av H&M Hennes & Mauritz AB:s
årsredovisning för år 2022 framgår att årsomsättningen år 2022 var ca 223
553 000 000 kronor. Eftersom IMY har konstaterat överträdelser av artikel 6.1 12 2,
12.3 och 21 så är det högsta sanktionsbelopp som kan fastställas i ärendet enligt
3 EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR (slutligt antagna den 24 maj
2023).
4 Se Dom i Akzo Nobel, C-516/15, EU:C:2017:314, punkt. 48
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 15(17)
Datum: 2023-10-17
artikel 83.5 i dataskyddsförordningen fyra procent av detta belopp, det vill säga
8 942 120 000 kronor.
Vid bedömning av överträdelsernas allvarlighetsgrad har IMY beaktat följande
omständigheter. Rätten till invändning är en central rättighet enligt
dataskyddsförordningen och det ställs höga krav på personuppgiftsansvariga att införa
system, processer och rutiner för att löpande kunna tillgodose registrerades rätt att
invända på ett lämpligt sätt och i rätt tid. IMY noterar att överträdelsernas varaktighet
varit lång, bolaget har uppmärksammats på bristerna från flera fristående klagande
under perioden juni 2018 till september 2019. Bristen har berört registrerade i tre olika
länder. Bolaget borde ha agerat avseende den påstådda bristen redan när det
uppmärksammades på den i samband med det första klagomålet.
IMY kan dock konstatera att bolaget i samband med klagandenas invändningar har
vidtagit åtgärder, om än otillräckliga, i syfte att avbryta utskick av det allmänna
nyhetsbrevet. Överträdelserna har inte heller avsett känsliga personuppgifter och
överträdelserna har konstaterats drabbat sex klagande. Två av klagomålen är
dessutom hänförliga till en period i nära anslutning till dataskyddsförordningens
ikraftträdande. IMY noterar också att bolaget årligen hanterar ett mycket stort antal
prenumeranter och att det enligt bolagets egen uppgift endast i en liten del av dessa
uppstår fel. Överträdelsernas karaktär har inneburit begränsade negativa effekter för
de registrerade.
IMY bedömer mot bakgrund av ovanstående omständigheter att det sammantaget rör
sig om överträdelser av låg allvarlighetsgrad. Utgångspunkten för beräkningen av
sanktionsavgiften bör därför sättas lågt i förhållande till det aktuella maxbeloppet.
Utöver bedömningen av överträdelsernas allvar ska IMY bedöma om det föreligger
några försvårande eller förmildrande omständigheter som får betydelse för
sanktionsavgiftens storlek.
IMY bedömer att det saknas ytterligare försvårande omständigheter, utöver de som
beaktas vid bedömningen av allvarlighetsgraden ovan, som påverkar
sanktionsavgiftens storlek. Som förmildrande omständighet lägger IMY särskild vikt vid
att bolaget tillsatte en särskild arbetsgrupp i oktober 2019 i syfte att lägga ytterligare
resurser och mer fokus på att effektivt kunna lösa situationer där avprenumerationer
stötte på hinder. Arbetet har resulterat i att samtliga identifierade orsaker har åtgärdats
genom bl.a. buggfixar, justering av rutiner, arbetssätt och utbildning av
kundtjänstmedarbetare på bolaget. Eftersom det är ett flertal system som är
involverade i utskick av nyhetsbrev implementerades även en manuell rutin i maj 2020
för att ytterligare minska risken för konsekvenser av buggar i de tekniska systemen
och säkerställa att uppdateringen sker i samtliga system. Den manuella rutinen
automatiserades i juli 2020.
Mot bakgrund av överträdelsernas karaktär och allvar, försvårande och förmildrande
omständigheter samt det faktum att beslutet avser bolagets agerande i sex enskilda
fall bestämmer IMY den administrativa sanktionsavgiften för H&M Hennes & Mauritz
GBC AB till 350 000 kronor. IMY bedömer att detta belopp är effektivt, proportionerligt
och avskräckande i det nu aktuella fallet.
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 16(17)
Datum: 2023-10-17
Detta beslut har fattats av enhetschefen Albin Brunskog efter föredragning av juristen
Johanna Rydh. Vid den slutliga handläggningen har även rättschefen David Törngren
medverkat.
Albin Brunskog, 2023-10-17 (Det här är en elektronisk signatur)
Kopia till
Dataskyddsombudet
Integritetsskyddsmyndigheten Diarienummer: DI-2020-10545 17(17)
Datum: 2023-10-17
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i
skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska
ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag ni fick
del av beslutet. Om överklagandet har kommit in i rätt tid sänder
Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för
prövning.
Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller
några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av
sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.